CVE-2026-41082

WysokieCVSS 7.3

Opublikowano: 16/04/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W systemie zarządzania pakietami OCaml opam przed wersją 2.5.1, pole .install zawierające ścieżkę docelową może wykorzystać ../ do uzyskania dostępu do katalogu nadrzędnego.

Ocena ryzyka

Atakujący może umieścić pliki poza zamierzonym katalogiem instalacyjnym, co może prowadzić do nadpisania krytycznych plików systemowych lub eskalacji uprawnień.

Rekomendacja

Należy niezwłocznie zaktualizować opam do wersji 2.5.1 lub nowszej, która zawiera poprawkę uniemożliwiającą użycie ../ w ścieżkach docelowych.

Inne podatności w opam

CVE-2026-57825Średnie
W pakiecie opam przed wersją 2.5.2 dla OCaml, mechanizm ochrony sandboxa może zostać ominięty z powodu nieprawidłowego obsługiwania dowiązań symbolicznych podczas korzystania z plików .install.

Oryginalny opis (angielski, źródło NVD)

In OCaml opam before 2.5.1, a .install field containing a destination filepath can use ../ to reach a parent directory.